Beim Lidl-Onlineshop kam es am 10. Juli 2026 zu einem Datenschutzvorfall. Unbekannte verschafften sich Zugriff auf eine Datei mit Kundendaten bei einem externen IT-Dienstleister und entwendeten diese. Lidl hat betroffene Kund:innen per E-Mail informiert und die zuständige Datenschutzbehörde eingeschaltet.

Was ist passiert?

Unbekannte verschafften sich Zugriff bei einem von Lidls externen Shop-Dienstleister zu Kundendaten und kopierten daraus Datensätze. Entwendet wurden Anrede, Vor- und Nachname, Telefonnummer, E-Mail-Adresse, Geburtsdatum und Kundennummer der betroffenen Kunden. Postanschriften, Passwörter und Zahlungsinformationen sind nach Unternehmensangaben nicht betroffen. Der Angriff traf nicht die zentrale Datenbank des Shopsystems, sondern den IT-Dienstleister selbst, der zur Behebung sofort reagiert und die Systeme wieder abgesichert hat.

Wie kam es zu dem Vorfall?

Betroffen war nicht Lidl direkt, sondern ein externer Dienstleister, der Teile der Shop-Kundendaten verarbeitet. Solche Auftragsverarbeiter erhalten oft Zugriff auf sensible Datensätze, sind für Angreifer:innen aber ein leichteres Ziel als der Konzern selbst. Der Dienstleister hat mittlerweile Strafanzeige gestellt, externe Forensiker:innen wurden hinzugezogen. Wer hinter dem Angriff steckt und ob die Daten bereits missbraucht wurden, ist bislang unbekannt.

Warum ist das relevant?

Auch wenn keine Passwörter oder Zahlungsdaten betroffen sind, ist die Kombination aus Name, Geburtsdatum, Telefonnummer, E-Mail und Kundennummer für gezielte Betrugsversuche äußerst wertvoll. Kriminelle können damit täuschend echt wirkende Phishing-Mails oder Anrufe im Namen von Lidl gestalten, die auf den ersten Blick vertrauenswürdig erscheinen. Der Fall zeigt zudem, dass auch scheinbar sichere Unternehmen über ihre Dienstleister angreifbar sind.